사이버 공격자들이 세금 신고서, 배송 알림, Adobe PDF 등 다양한 문서를 미끼로 피해자를 속여 합법적인 원격 관리(RMM) 소프트웨어를 설치하게 만드는 피싱 캠페인이 46개국으로 확산되었습니다. 전체 피해의 약 45%가 미국에 집중되었으며, 교육·기술·정부·금융·제조업 등 다양한 분야가 표적이 되었습니다. 공격자들은 Vercel, GitHub Pages 등 신뢰할 수 있는 인프라를 매일 교체하며 탐지를 피하고 있어, 도메인 블랙리스트에만 의존하는 기존 방어 방식으로는 대응이 어렵습니다. 보안팀은 특정 도메인이 아닌 배포 체인의 구조적 패턴과 비정상적인 원격 접속 행위에 집중해 탐지 체계를 갖춰야 합니다.
캐나다 세금 양식 미끼로 시작된 피싱 캠페인이 46개국으로 확대된 것으로 확인됨. ANY.RUN이 601건의 관련 사례를 분석했으며, 피해자를 속여 합법적인 RMM 소프트웨어를 설치시키는 방식으로 작동함.
미국이 전체 피해의 45%로 최대 표적. 교육, 기술, 정부, 금융, 제조업 등 광범위한 산업 분야가 피해를 입음. 합법적 소프트웨어 악용으로 기존 악성코드 탐지 우회 가능.
공격자가 세금 고지서·배송 문서·Adobe PDF 등 다양한 위장 문서를 사용하고, Vercel·GitHub Pages 등 신뢰할 수 있는 서비스를 인프라로 활용. 도메인 94%가 하루만 사용 후 교체되어 추적이 어려움.
도메인·해시 기반 단독 탐지 지양. 배포 체인 구조(secure.html → project/*.zip)와 공유 에셋(font1.woff2 등) 기반 탐지 권장. 메일 레이어 통제 강화 및 임직원 인식 제고 필요.
합법적인 RMM 소프트웨어도 공격 도구로 악용될 수 있으므로, 제품 종류에 무관하게 비인가 원격 접속 행위 자체를 탐지 대상으로 삼아야 함. 일일 교체되는 도메인 대신 킷 구조의 고정 지표를 활용하면 탐지율을 높일 수 있음.
본문
The Hacker News 2026년 9월 3일 / 소셜 엔지니어링 / 악성코드
캐나다 세금청(CRA) 세금 신고 서류를 미끼로 사용해 캐나다를 표적으로 삼은 것으로 알려졌던 RMM 피싱 캠페인이, 실제로는 46개국에 걸친 대규모 캠페인의 일부였던 것으로 밝혀졌습니다.
관찰된 활동의 약 45%가 미국과 연관되어 있어 미국이 최대 피해국으로 나타났습니다. ANY.RUN 연구팀은 이 광범위한 작전과 연관된 601건의 사례를 분석했으며, 해당 캠페인은 위조 문서를 통해 피해자를 속여 합법적인 원격 모니터링·관리(RMM) 소프트웨어를 설치하게 만드는 방식을 사용합니다.
공격자들은 표적에 따라 미끼를 달리 사용합니다. 배송 안내·UPS 통지, Adobe PDF, 세금 고지서, 미국 사회보장청(SSA) 테마 문서, 청구서 등 다양한 문서를 활용합니다. 빠르게 교체되는 일회성 Vercel 인프라를 사용해 캠페인 추적과 탐지를 더욱 어렵게 만들고 있습니다.
매일 인프라를 교체하는 미국 중심 위협
ANY.RUN의 캠페인 위협 개요
캠페인의 인프라는 공격 패턴보다 훨씬 빠르게 변경됩니다. ANY.RUN 연구팀은 240개 호스트에서 425개의 킷 URL을 확인했으며, 그 중 94%는 단 하루만 관찰되었습니다.
이 작전은 Vercel, GitHub Pages, Netlify, 침해된 웹사이트 등 다양한 인프라를 배포에 활용했습니다. 페이로드 역시 Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox, GoFile 등의 서비스를 통해 스테이징되었습니다.
이처럼 빠른 교체에도 불구하고 피싱 킷에는 보다 지속적인 지문이 남아 있습니다. font1.woff2 같은 공유 에셋, 반복 사용되는 이미지 리소스, 그리고 secure.html → project/*.zip 형태의 배포 구조 덕분에 연구팀은 겉으로 보기에 별개인 인프라들을 동일 캠페인으로 연결할 수 있었습니다.
교육, 기술, 정부 분야가 주요 표적 산업에 포함되며, 금융·뱅킹·제조업도 두드러지게 나타납니다.
ANY.RUN의 공격 체인 개요
개별 도메인과 RMM 제품은 소모성으로 사용되는 반면, 기반 배포 체인은 더욱 안정적으로 유지됩니다. 이는 악성코드 판정, 평판, 개별 IOC(침해 지표)에만 의존하는 탐지 방식이 왜 한계를 가지는지를 보여줍니다.
이러한 패턴을 탐지하고 합법적인 RMM 사용과 남용을 구별하기 위해, SOC 팀은 의심스러운 활동 뒤에 있는 전체 행동 맥락에 접근할 수 있어야 합니다.
SOC 팀을 위한 주요 탐지 핵심 사항
- 제품에 구애받지 않는 방어 체계 구축: 합법적인 소프트웨어도 악용될 수 있고 벤더 간 전환도 가능하므로 가시성 공백이 생깁니다. 배포 체인과 비인가 원격 접속 활동에 집중하세요.
- 캠페인 패턴 중심의 탐지: 이 캠페인에서 도메인은 매일 교체되므로 도메인에만 의존하지 말고, fmtt / font1.woff2, icons8-microsoft-word-94.png 에셋, secure.html → project/*.zip 체인 같은 보다 안정적인 킷 지표를 우선 활용하십시오.
- 메일 레이어 통제 수립 및 사용자 인식 제고: SOC 팀은 패스워드 보호된 압축 파일을 통한 배포 방식을 고려해야 합니다.
- 분석가에게 행동 및 위협 맥락 제공: ANY.RUN의 인터랙티브 샌드박스는 캠페인의 브라우저 활동, 스크립트, 프로세스, 다운로드, 네트워크 동작을 노출하며, Threat Intelligence Lookup은 지속적 지표를 관련 인프라 및 사례와 연결합니다.
Adobe 피싱 페이지 미끼 중 하나, ANY.RUN 인터랙티브 샌드박스에서 분석됨
공격자들이 합법적인 소프트웨어, 신뢰할 수 있는 서비스, 일회성 인프라를 점점 더 교묘하게 결합함에 따라, 보안팀은 심층적인 위협 맥락에 접근하고 이를 운영에 활용할 수 있어야 합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
